OpenVPN auf FritzBox Fon, TUN, kein Ping an Rechner im Server-Netz

[sjk]

Hallo Forum,

ich hoffe Ihr könnt'mir helfen. Auch nach langem Suchen habe ich bisher kein Problem gefunden, das mit meinem identisch ist :-(
Ich habe auf meiner FritzBox Fon zu Hause erfolgreich einen OpenVPN-Server laufen, auf den ich auch von außerhalb zugreifen kann. Leider habe ich es bisher nicht geschafft, vom Client aus einen Rechner hinter der Server-Box anzupingen. Was komischerweise aber wieder funktioniert ist eine VNC-Verbindung zu einem Rechner hinter der Box.

Hier mal meine Topologie:
HeimNetz: 192.168.100.x <--> FritzBox: 192.168.100.1, OpenVPN-Server 10.5.0.1 <--> TUN über Internet <--> Router 192.168.0.1 <--> Laptop 192.168.0.13, OpenVPN-Client 10.5.0.2

Was funktioniert:
Ping von Client 192.168.0.13 zu FritzBox über 192.168.100.1 und 10.5.0.1
Ping von FritzBox auf Client 192.168.0.13 und 10.5.0.2
Ping vom Heimnetz auf Client 192.168.0.13 und 10.5.0.2

Was nicht funktioniert, also mein Problem:
Ping vom Client 192.168.0.13 auf das HeimNetz (z.B. 192.168.100.2) hinter dem OpenVPN-Server auf der FritzBox

Die Konfiguration des OpenVPN-Servers sieht wie folgt aus:

dev tun0
dev-node /var/tmp/tun
ifconfig 10.5.0.1 10.5.0.2
tun-mtu 1500
float
mssfix

#Pfad zum Key File
secret /var/tmp/secret.key

#Protokoll auf TCP und Port 1194
proto tcp-server
port 1194

#Protokollierung auf 4
verb 4

#Routen setzen, bei route Subnetz des Clients eintragen
route 192.168.0.0 255.255.255.0
push "route 192.168.100.0 255.255.255.0"

#Verbindung erhalten
ping 15
ping-restart 120

und hier die Konfiguration des Clients:

dev tun
ifconfig 10.5.0.2 10.5.0.1
secret /etc/openvpn/client.key

keepalive 10 60
ping-timer-rem

tun-mtu 1500
mssfix
persist-tun
persist-key

#Protokoll auf TCP und Port 1194
#Änderungen müssen auf Client- und Server-Seite gleich sein
proto tcp-client
port 1194

#Der DynDNS-Name soll alle 60 Sekunden neu aufgelöst werden
#da OpenVPN sonst ständig versucht über die alte IP
#zu verbinden
resolv-retry 60 

#Protokollierungseinstellung
#4 ist optimaler Modus
verb 4

#Daemon sollte erst eingeschaltet werden wenn die
#Konfiguration passt
#daemon

#Routen setzen, bei route Subnetz der Server-Box eintragen
route 192.168.100.0 255.255.255.0
route 10.5.0.0 255.255.255.0

Hier die Routing-Tabelle der FritzBox (Server):

Kernel IP routing table
Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
192.168.180.1   0.0.0.0         255.255.255.255 UH        0 0          0 dsl
192.168.180.2   0.0.0.0         255.255.255.255 UH        0 0          0 dsl
10.5.0.2        0.0.0.0         255.255.255.255 UH        0 0          0 tun0
192.168.100.0   0.0.0.0         255.255.255.0   U         0 0          0 lan
192.168.0.0     10.5.0.2        255.255.255.0   UG        0 0          0 tun0
10.5.0.0        10.5.0.2        255.255.255.0   UG        0 0          0 tun0
169.254.0.0     0.0.0.0         255.255.0.0     U         0 0          0 lan
0.0.0.0         0.0.0.0         0.0.0.0         U         0 0          0 dsl

Hier die Routing-Tabelle des Clients:

Kernel-IP-Routentabelle
Ziel            Router          Genmask         Flags   MSS Fenster irtt Iface
10.5.0.1        0.0.0.0         255.255.255.255 UH        0 0          0 tun0
192.168.100.0   10.5.0.1        255.255.255.0   UG        0 0          0 tun0
192.168.0.0     0.0.0.0         255.255.255.0   U         0 0          0 ath0
10.5.0.0        10.5.0.1        255.255.255.0   UG        0 0          0 tun0
169.254.0.0     0.0.0.0         255.255.0.0     U         0 0          0 ath0
0.0.0.0         192.168.0.1     0.0.0.0         UG        0 0          0 ath0

Starte ich ein "traceroute" auf dem Client in Richtung eines Rechners hinter der Server-Fritz-Box, so bleibt dieses bei der FritzBox "stecken":

traceroute to 192.168.100.2 (192.168.100.2), 30 hops max, 60 byte packets
 1  10.5.0.1 (10.5.0.1)  69.995 ms  139.975 ms  139.929 ms
 2  * * *
 3  * * *

Irgendwie habe ich den Verdacht, dass die Antwort des PCs hinter der OpenVPN-Server in der Fritz-Box verlorengeht bzw. nicht richtig auf den tun0-Knoten weitergeleitet wird. Da die Routen ja aber korrekt gesetzt sind (ich kann ja vom Server-Netz aus den Client anpingen) habe ich leider keine Ahnung mehr, wo ich noch suchen soll...

Vielen Dank schon mal im Voraus für eure Hilfe!
Sven

 

[MaxMuster]

Ist auf dem PC im Heimnetz, auf den kein Ping funktioniert, eine Firewall?
Wenn ja, muss die vielleicht deaktiviert oder das Netz 10.0.5.0 freigeschaltet werden?

Wenn ich dich richtig verstanden habe, sollte das Routing ja funktionieren, denn von dem PC aus kommst du ja auf den Client, nur die Gegenrichtung funktioniert nicht?

Jörg

 

[sjk]

Oh mann, manchmal sieht man vor lauter Bäumen den Wald nicht ;-)

--> Ja, es ist tatsächlich die Firewall des Heim-Computers, der die Verbindung blockt!

So, dann muss ich mich jetzt mal dranmachen ein Loch in die Windows Vista-Firewall zu bohren...

Vielen Dank schon mal!